(Fios#03) 2. 네트워크 가상화 환경에서의 침해대응

The 3rd FIOS
(F-INSIGHT OPEN SEMINAR)
네트워크 가상화 환경에서의 침해대응
ksnoh
ugginsung2@gmail.com
노 기 성

forensicinsight.org Page 2
0. Intro
네트워크 가상화 시대

0. Intro
가상네트워크 구축 현황
 미국 : 잘팔려요~
 일본 : 정보보호를 목적으로 100개 사이트 이상 실 망 도입
 한국 : 아직은 테스트 용이 지배적..

0. Intro
 물리 네트워크를 기반으로 가상의 네트워크를 만드는 기술(GRE STT VXLAN 등Overlay 기반)
 x86 가상화 기술로 네트워크 가상화가 구현되면 금상첨화
네트워크 가상화

발표순서
1. 가상네트워크를 통한 침해대응 환경 개선 범위
2. 네트워크 가상화 기술의 이해
• 기반기술 이해
 서버 가상화
 데스크탑 가상화
• SDN
3. 가상네트워크 보안 장치

1. 가상 네트워크를 통한 침해대응 환경 개선 범위
OODA Loop
Observe
Orient
Decide
Act
 관찰할 데이터도 많고 모든 것을 다
볼수도 없고..
 신규 대응 인프라가 필요한데 구매
및 실배치 까지 여러 난관이 있고..
• 예산, 시간, 안정성 등..
 대응하다 운영중인 서비스에 영향
주면 안되는데..
 사람도 없고...

네트워크 가상화 기술이 기대되는 침해 대응 영역
정보수집 초기침투 명령제어 내부이동 정보유출
 호스트 기반 관찰 / 탐지
 네트워크 기반 관찰 / 탐지
 (알려진) 악성 통신 차단
 (알려진) 악성코드 대응
 신규 보안장치 배치
 내부 통신 감사
 데스크탑 운영체제 / Apps
취약점 패치
사
고
인
지
시
점
사전 대응 사후 대응
 침해원인 및 경로 역추적
• 피해 호스트, 악성코드 분석
• 연관 시스템 및 보안장치 로그 분석 등
 조치
• 악성코드 제거
• 데스크탑 운영체제 및 Apps 취약점 패치
• 공격 통신 차단
• 재발방지 대책/정책 수립
• 신규 보안장치 배치
알려진 공격 탐지
(In-bound)
지속통신 탐지
(Out-Bound)
내부 비정상 행위
(Internal)

 목적 : 안정적인 서버 통합운영을 통한 비용 절감 (소프트웨어 정의 IDC 구축)
 주요 기능
• 장애 예방 및 복구 (HA, 클러스터, Fault Tolerance)
• 패치 통합 관리 (물리서버 + 가상머신)
• 백업 관리
• 파워관리(전기세 절약)
서버 가상화
서버 운영체제 가상머신을
구동하는 기술 아님!!

 목적 : 서버가상화 인프라를 기반으로 Desktop OS 환경을 사용자에게 통합 관리
 주요 기능
• 보안(망분리)
• 사용자 데이터 통합 관리
• 응용프로그램 / OS 관리
(패치, 사용권한 등)
• 언제어디서나 업무환경
• 비용절감
데스크탑 가상화

SDN(Software Defined Network)
설정
설정
설정
A사 L2스위치
B사 L4스위치
C사 라우터
설정
A사 스위치
B사 스위치
C사 라우터
컨트롤러
S/W - 동작상태 및 성능 관리
S/W - 패킷 경로설정, 관리, 제어
H/W - 패킷 송수신
L2
L3
L4
 모든 네트워크 장비를 따로 관리하지 않고 통합관리 할 수 있어 좋네..
• 하지만 SDN 지원하는 전용 장비로 교체해야하네..;;; 전문인력도 필요하고..

네트워크 가상화 이점
 모든 네트워크 장비를 통합 관리할 수 있으면서 (SDN 아키텍처를 따르면서)
 네트워크 / 보안 장비 배치 작업도 빠르게 하고..
 네트워크 장비들도 가상머신으로 만들어서 유지 관리를 편하게 하고
 이러한 모든 것들을 전용장비 구매 없이 기존 네트워크 인프라를 활용해서 할수는 없을까?
 사용자 보안을 강화할 수는 없을까? (악성코드, 운영체제 취약점 관리, DLP, 망분리..)

 목적 : 서버가상화 인프라를 기반으로 편리하고 효율적인 네트워크 인프라 운용 / 보안성
강화

 물리 스위치를 기반으로 가상의 네트워크를 만드는 기술 (Overlay)
출처 : VMware.com

 VXLAN Overlay 기반 L2 확장 예시(L2 over L3)
Overlay ?
서울 부산
출처 : http://youngmind.tistory.com/entry/Network-Overlay-VXLAN-%EB%B6%84%EC%84%9D-2

 시스코 ACI
 Nuage Networks VSP
 VMware NSX
• 다양한 3rd 파트너사와 협력을 통해 가상네트워크 보안 어플라이언스 제공
네트워크 가상화 제품

 VMware NSX
• L2,L3,L4,F/W,NAT,VPN, Control API 제공
• 기존 네트워크 장비 교체 필요 없으며, 타 하이퍼바이저에서도 사용 가능
네트워크 가상화 제품
출처 : VMware.com

VMware NSX 기능
Layer 기능
L2
• VLAN / PVLAN
• LACP
• Port Mirror
L3
• Routing
- OSPF
- IS-IS
- BGP
• NAT
• F/W
L4-L7
• LB
• QoS
• HA
• VPN
- L2 VPN
- IPSec
- SSL VPN-Plus
보안 및 모니터링 개별 3rd Party Plugins (F/W, AV, IDS, sFlow 등)

3. 가상 네트워크 보안 장치

3. 가상 네트워크 보안장치
 보안 / 트래픽 모니터 장비를 구석구석 넣고 관찰하고 싶지만 금전적, 구조적 한계가..
 공격자가 특정 구간만 우회할 수 있으니
구석구석 관찰할 수는 없을까 ?
 신규 보안장비 배치를 안전하고 빠르게
할 수 없을까?
 네트워크 보안 감사 처리 부하를 낮출수는
없을까?
고민 ..

 가상머신과 가상머신 사이에는 무조건 가상 방화벽 및 트래픽 수집/제어가 가능하다면?
• Access Control 및 트래픽 관찰을 중앙에서..L2 까지도
• 트래픽 처리 효율성 증대 및 보안성 강화
분산 방화벽 정보수집 초기침투 명령제어 내부이동 정보유출

접근통제외 내,외부 알려진 위협 트래픽, 취약점 관리, 악성코드 탐지등은 어디에서?
정보수집 초기침투 명령제어 내부이동 공격수행

Third-party 보안도구 설치 및 통합 운용

유해 트래픽 탐지시 분산 방화벽 필터와 연동하여 차단까지 연계
Detect
& Block
 설치도 편하고 관리도 편하고 커버리지도 넓고..

 은닉 공격 탐지를 위해 이상 행위를 뽑으려면 내부구간 네트워크도 관찰하면 좋은데..
• NetFlow 를 올리기엔 네트워크 장비 부하때문에 꺼려지고 (사실은 미미한데..)
• 전용 트래픽 수집 분석 장치를 구석구석 배치하여 관찰 하기엔 네트워크 구간이 너무 많고..
물리 네트워크 트래픽 모니터링 정보수집 초기침투 명령제어 내부이동 공격수행
o A 와 B가 4시간동안 SSH 통신 했다는 사실을,
o A 가 외부 C서버와 매분 주기적 통신을 했다는 사실을
o A가 외부 FTP서버로 100M를 사실정보를
인지하고 조사할 수 있어야 하지 않을까요?
Oun-bound지속통신
AB
C
D

 장점 : 전 구간 트래픽 흐름 관찰 가능
가상 네트워크 트래픽 모니터링

 OS, App 패치관리 용이성
데스크탑 가상화 보안 관리 이점
Profile
문서
Apps
OS
APPs
사용자
바탕
화면
개인
파일
AD
스토리지

결론
 넓은 네트워크 관찰 범위
 빠르고 편리한 네트워크 보안 아키텍쳐 구성
 네트워크 접근 제어 관리 용이
 다양한 구간에서의 탐지 / 차단 프로세스 연계 용이

질문 및 답변

(Fios#03) 2. 네트워크 가상화 환경에서의 침해대응

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (20)

Similar a (Fios#03) 2. 네트워크 가상화 환경에서의 침해대응

Similar a (Fios#03) 2. 네트워크 가상화 환경에서의 침해대응 (20)

Más de INSIGHT FORENSIC

Más de INSIGHT FORENSIC (20)

Último

Último (6)

(Fios#03) 2. 네트워크 가상화 환경에서의 침해대응